GitHub zablokoval SSH klíče uživatelů Git klientů, kteří pro generaci klíčů používají JavaScript knihovnu keypair. Například byly zablokovány klíče Git klienta GitKraken. Zranitelnost vede k vytváření předvídatelných RSA klíčů kvůli chybě, která výrazně snižuje kvalitu entropie při generování náhodné sekvence pro klíče. Problém byl odstraněn ve verzích keypair 1.0.4 a GitKraken 8.0.1.
Příčinou vzniku zranitelnosti bylo použití při generaci klíče volání „b.putByte(String.fromCharCode(next & 0xFF))“, přičemž v metodě putByte byl znovu volán метод fromCharCode. Dvojité volání fromCharCode („String.fromCharCode( String.fromCharCode(next & 0xFF) )“) vedlo k tomu, že většina vyrovnávací paměti s entropií byla vyplněna nulami, tj. klíč byl generován na základě „náhodných“ dat, která byla ze 97 % složena z nul.
Zdroj: opennet.ru
